YKK APがセキュリティ専任組織を立ち上げて7年。 齋藤充宏氏がガートナーのサミットで語ったのは、予算ゼロ・専従2人から経営を動かすまでの、組織とセキュリティの「溝」を埋めてきた軌跡だった。 「齋藤くん、先日は訓練ありがとう。 大変参考になった。 ただ、いろいろ考えたけれども、身代金の支払いっていうのはやっぱり考えなきゃいけないな」 社長からそう声を掛けられたとき、YKK APのTRI統括部テクノロジー&イノベーション部部長の齋藤充宏氏は、思わず「えっ」と声を漏らしたという。 セキュリティ専任組織を立ち上げて7年、記者会見の模擬訓練まで作り込み経営層も巻き込んできた末に、返ってきた一言だった。 「ガートナーセキュリティ&リスク・マネジメントサミット2026」で、齋藤氏が語ったのは、技術の話ではなく、組織をどう動かし、どう立ち回ったかという話だった。 YKK APはIT-BCP(ITシステムの事業継続計画)訓練に力を入れてきた。 自然災害と並行して、サイバー攻撃によるシステム障害や情報漏えいを想定した訓練を毎年続けている。 2023年度には記者会見訓練にまで踏み込んだ。 情報漏えいを謝罪する設定で社長、副社長、総務部長が登壇し、フラッシュ球まで用意した本格的な会場で、記者役の社員数十人が厳しい質問を浴びせた。 2025年度は台本を黙読する机上訓練から、ファシリテーターの問いかけにその場で対応を判断する形へ変え、「35億円の身代金が要求されていますが、どうしますか」と即座に判断を迫られる内容だった。 訓練は年々本格化し、経営層も当事者として関わるようになっていた分、その後の社長の一言は重く響いたのだろう。 もっとも、冷静に考えれば当然の視点だったのではないか、と齋藤氏は振り返る。 経営には事業を止めない責任があり、復旧の手段を最初から選択肢の外に置くことはしない。 一方でセキュリティ側は、支払っても復旧できるとは限らず、コンプライアンス上の問題も残る以上、原則として支払わないのが自明の答えだと考えていた。 どちらも間違ってはいないが、かみ合っていなかった。 「身代金判断に必要な基準や情報を経営に共有できていなかった。 われわれも経営の考え方を理解できていなかった」(齋藤氏)。 どれだけ訓練を重ねても、いざというときに経営が判断できる基準までは用意できていなかった。
